CVE-2026-81318 in ash_sql
Riassunto
di VulDB • 30/08/2026
Vulnerabilità di autorizzazione errata in ash-project ash_sql che consente a un chiamante in un'applicazione multitenant basata su schemi di ricevere valori aggregati calcolati dalle righe di un altro tenant.
Quando viene eseguita l'aggregazione su una query distinct, AshSql.AggregateQuery.add_single_aggs/5 ricostruisce la query esterna partendo esclusivamente da query.from.source, che corrisponde solo alla tupla {table, schema} e non include query.prefix o query.from.prefix. Per il multitenancy con strategy(:context), questi campi contengono lo schema del tenant; di conseguenza, la query esterna ricostruita legge dallo schema predefinito della repository (repo), mentre la sottocorrelata interna continua a leggere dallo schema del tenant, e i due vengono uniti solo tramite chiave primaria. L'aggregazione e qualsiasi join su relazione aggiunto al binding privo di prefisso vengono quindi calcolati sulle righe del tenant errato. I rami limit ed exists adiacenti avvolgono invece la query con subquery/1, il che preserva il prefisso.
Questo problema interessa ash_sql: dalle versioni 0.1.0 alla versione precedente alla 0.7.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.